Rapporto esplicativo

de stockage une copie des données et documents créés dans leur système primaire. Cette disposition a pour but que les documents du dossier électronique du patient soient conservés séparément sur le plan technique des documents enregistrés dans les dispositifs de stockage « primaires » (cf. ch. 2.2 CTO). En effet, les données du dossier électronique du patient ne sont pas soumises aux mêmes obligations que les données des systèmes primaires en ce qui concerne la conservation et l’effacement. Par exemple, il faut les détruire au bout de dix ans (al. 1, let. a), les détruire en totalité si le dossier électronique du patient est supprimé (al. 1, let. b) ou, à la demande du patient, procéder à un effacement sélectif (al. 2, let. b et c). En effet, une utilisation hybride du lieu de stockage ou la cohabitation des dossiers électroniques avec d’autres ensembles de données (p. ex. le système d’archivage interne d’un hôpital) constituerait un risque excessif pour la protection et la sécurité des données car il serait impossible d’isoler suffisamment bien la partie du lieu de stockage réservée aux dossiers électroniques par rapport à des groupes d’utilisateurs et des zones de réseau multiples, ce qui créerait une « perméabilité » non contrôlable entre le dossier électronique du patient et les autres données. Que la séparation soit physique (matériel séparé) ou logique (base de données séparées, machine virtuelle, séparation des mandants, etc.), les lieux de stockage « secondaires » doivent pouvoir être isolés de manière étanche des dispositifs de stockage primaires de manière à garantir, par des moyens techniques, une étanchéité fiable excluant toute « perméabilité » accidentelle (« défaut d’isolation »).

Al. 2

Le principe de l’autodétermination en matière d’information confère au patient le droit de décider luimême du contenu de son dossier électronique du patient. C’est en vertu de ce principe que le patient dispose des possibilités énoncées à l’al. 2 (cf. ch. 2.3 CTO).

L’art. 3, al. 2, LDEP instaure une présomption : les professionnels de la santé peuvent partir du principe que le patient ayant constitué un dossier électronique du patient souhaite que les données le concernant y figurent. En vertu de l’al. 2, let. a, le patient peut signaler en tout temps aux professionnels de la santé les documents qui ne doivent pas apparaître dans son dossier électronique du patient : il a donc la possibilité de s’opposer à cet automatisme au cas par cas.

Aux termes de la let. b, le patient peut exiger que les documents devant être effacés à l’échéance du délai de dix ans (al. 1) restent accessibles dans son dossier électronique du patient pour une nouvelle période de dix ans.

La let. c ménage au patient le droit de faire effacer certaines données le concernant dans son dossier électronique du patient. Les entrées correspondantes dans le registre des documents doivent être effacées, de même que les documents enregistrés dans les lieux de stockage du dossier électronique du patient. En ce qui concerne les documents dont les lieux de stockage de la communauté ne contiennent pas de copie (al. 1, let. c), mais auxquels on accède en faisant une requête auprès du système primaire, seules les entrées correspondantes dans le registre des documents seront effacées afin de ne pas porter atteinte aux obligations de documentation et de conservation en vigueur incombant aux professionnels de la santé.

Al. 3

Pour garantir l’interopérabilité ainsi que la sécurité et la protection des données conformément aux dispositions en vigueur lors des opérations de mise en ligne et de consultation, les communautés doivent se conformer aux prescriptions en matière de gestion et de transfert des données du dossier électronique du patient visées aux let. a à e. Ces prescriptions concrètes portent, par exemple, sur la recherche de patients dans l’index des patients, sur la communication avec le registre des documents, les lieux de stockage des documents et la gestion des autorisations pour consulter ou mettre en ligne des documents ainsi que sur la communication avec les services de recherche visés aux art. 39 et 40 et avec la base de données d’identification (UPI) de la CdC. Le respect de ces règles essentielles pour l’interopérabilité, mais aussi pour la protection et la sécurité des données, est contrôlé dans le cadre de la procédure de certification pratiquée par les organismes compétents à l’aide d’un système de certification mis à disposition par l’OFSP (art. 27, al. 3, let. c). Ce système permet, par exemple, de vérifier si les